Reddit potwierdził, że został zhakowany. Kto musi się obawiać?

Reddit poinformował właśnie, że pomiędzy 14 a 18 lipca doszło do włamania na ich serwery, a hakerom udało się wykraść dane użytkowników. Serwis zorientował się w sytuacji 19 lipca i jak przyznaje cyberprzestępcom udało się uzyskać dostęp do kilku kont administratorów Reddita u dostawców usług chmurowych i usług hostingu kodu źródłowego. Główny atak przeprowadzony miał być za pomocą przejęcia SMS-ów z kodami wykorzystywanymi do dwustopniowego uwierzytelniania, ale nie podano szczegółów, w jaki sposób udało się tego dokonać. Reddit zapewnia jednak, że atakującym nie udało się dostać zapisów jego systemów i uzyskali jedynie dostęp do odczytu niektórych systemów zawierających kopie bezpieczeństwa, kod źródłowy i część logów. Po tym wydarzeniu serwis wykonał dodatkowe kroki, by zabezpieczyć dane będące celem hakerów i dokonano m.in. rotacji kluczy API. Reddit zdradził jednak, że atakującym udało się wykonać kompletną kopię starej bazy danych z roku 2007, która zawiera m.in. dane użytkowników zarejestrowanych w okresie od maja 2005 roku do maja 2007 roku, w tym nie tylko nazwy użytkowników i ich adresy mailowe, ale także skróty ich haseł czy prywatne wiadomości.

Hakerzy uzyskali dane użytkowników Reddita zarejestrowanych w okresie od maja 2005 roku do maja 2007 roku.

Serwis rozsyła już stosowne wiadomości do poszkodowanych użytkowników i resetuje hasła w przypadkach, gdzie wykradzione dane są wciąż aktualne. Jeśli zarejestrowaliście się na Reddicie po 2007 roku, nie macie powodów do obaw, ponieważ Wasze konta nie zostały wykradzione. W przypadku osób, które nie mają pewności lub też nie pamiętają, czy rejestrowały się w newralgicznym okresie, strona radzi, by samodzielnie zresetować hasło (jeśli Reddit nie zrobi tego samodzielnie) i pomyśleć również o wszystkich innych serwisach, w których mogły korzystać z tego samego hasła. Wśród danych, do których dostęp uzyskali hakerzy, znajdują się również logi emaili wysyłanych pomiędzy 3 a 17 czerwca tego roku. Te zawierają m.in. adresy email i pseudonimy odbiorców.

Reddit oczywiście zgłosił sprawę stosownym władzom i ściśle współpracuje przy prowadzonym śledztwie. Pomimo że serwis nadal zaleca korzystanie z mocnych haseł i dwuetapowego uwierzytelniania, to przyznaje jednak, że standardowe kody wysyłane drogą SMS-ową, które wykorzystywane są w dwustopniowej weryfikacji, w dzisiejszych czasach nie zapewniają już odpowiedniej ochrony. Bezpieczniejszą alternatywą wydaje się wykorzystanie generatora kodów jednorazowych, choćby w postaci Google Authenticator, który stanowi trudniejsze wyzwanie dla hakerów. Warto rozważyć też wykorzystanie klucza sprzętowego, przynajmniej w przypadku logowania administratorów. Więcej informacji na temat ataku znajdziecie w stosownym wątku w serwisie Reddit, gdzie trwa żywa dyskusja na ten temat.